Accountovernamecampagne 'UNK_SneakyStrike' maakt misbruik van pentesting tool TeamFiltration

TeamFiltration is oorspronkelijk ontwikkeld als een legitiem framework voor penetratietesten en risico-evaluatie van Office 365 Entra ID-omgevingen. De tool, openbaar gemaakt in 2021, automatiseert tactieken zoals accountenumeratie (het identificeren van geldige gebruikersaccounts), password spraying (het proberen van veelvoorkomende wachtwoorden op meerdere accounts) en data-exfiltratie. Helaas, zoals vaker gebeurt met dit soort tools, wordt TeamFiltration nu ingezet voor kwaadwillende activiteiten.

Werkwijze van de aanvallers 

De aanvallers achter UNK_SneakyStrike gebruiken de Microsoft Teams API en Amazon Web Services (AWS) servers in diverse geografische regio's om hun aanvallen uit te voeren. Door het gebruik van verschillende AWS-regio's proberen ze detectie te bemoeilijken. Naast het bemachtigen van accounttoegang, exploiteren de aanvallers ook de toegang tot specifieke Microsoft-resources en native applicaties, waaronder Teams, OneDrive en Outlook, om gevoelige gegevens te exfiltreren en persistentie te verkrijgen.

Detectie door Proofpoint 

Proofpoint's dreigingsonderzoeksteam wist de activiteiten van TeamFiltration te detecteren en te volgen door te zoeken naar unieke kenmerken. Hieronder vallen een zeldzame user agent die gekoppeld is aan een verouderde versie van Microsoft Teams, pogingen tot toegang van specifieke aanmeldapplicaties vanaf incompatibele apparaten (wat duidt op user agent spoofing), en een correlatie met specifieke applicatie-ID's die zijn voorgeconfigureerd in de code van TeamFiltration. Deze applicaties behoren tot een groep Microsoft OAuth clientapplicaties die speciale 'family refresh tokens' kunnen verkrijgen, welke vervolgens kunnen worden gebruikt voor toegang.

Omvang en Impact 

De toename van loginpogingen via TeamFiltration begon in december 2024 en bereikte een piek in januari 2025. De aanvallen kenmerken zich door geconcentreerde, korte uitbarstingen die een breed scala aan gebruikers binnen een enkele cloudomgeving targeten, gevolgd door rustigere periodes van ongeveer vier tot vijf dagen. De primaire geografische bronnen van deze kwaadwillende activiteiten zijn de Verenigde Staten (42%), Ierland (11%) en Groot-Brittannië (8%).

Proofpoint verwacht dat cybercriminelen in toenemende mate geavanceerde inbraaktools en platforms zoals TeamFiltration zullen gebruiken, naarmate minder effectieve inbraakmethoden minder succesvol blijken. Organisaties worden geadviseerd extra waakzaam te zijn en beveiligingsmaatregelen te versterken.